CVE-2026-105811: bypass de autorização por meio de uma chave controlada pelo usuário no exemplo de hook do Lambda do Amazon Q Business no QnABot na AWS
ID do boletim: 2026-126-AWS
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data de publicação: 06/10/2026 13:00 PDT
Descrição:
O QnABot na AWS é uma solução de exemplo para uma interface conversacional multicanal e multilíngue que responde às dúvidas, perguntas e feedbacks dos seus clientes. Identificamos a vulnerabilidade CVE-2026-105811 na amostra opcional de hook do Lambda do Amazon Q Business no QnABot na AWS. O exemplo de hook do Lambda do Amazon Q Business (q-business-lambda-hook) é um exemplo de integração opcional incluída no repositório do QnABot na AWS. Ela exige implantação manual separada e configuração adicional; ela não é implantada automaticamente com o QnABot. Os clientes que não implantaram essa amostra não são afetados e não precisam agir.
O bypass de autorização por meio de uma chave controlada pelo usuário no exemplo incluído no QnABot na AWS nas versões 7.0.0 a 7.4.5 pode permitir que um usuário remoto autenticado leia objetos arbitrários do Amazon S3 na conta de implantação da AWS.
Para remediar esse problema, os clientes afetados devem atualizar a pilha do QnABot na AWS para a versão 7.4.6 ou posterior e, em seguida, reimplantar a pilha de exemplo de hook do Lambda do Amazon Q Business. A atualização da pilha do QnABot na AWS por si só não fornece a correção.
Versões afetadas: >=7.0.0, <7.4.6
Resolução:
Esse problema foi resolvido no QnABot na AWS versão v7.4.6. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções. Os clientes devem atualizar a pilha do QnABot na AWS para a versão 7.4.6 ou posterior e, em seguida, reimplantar a pilha de exemplo de hook do Lambda do Amazon Q Business. A atualização da pilha do QnABot na AWS por si só não fornece a correção. Nenhuma ação é necessária para clientes que atualmente não usam a pilha de exemplo de hook do Lambda do Amazon Q Business.
Soluções alternativas:
Não há nenhuma solução alternativa disponível.
Referências:
Reconhecimento:
Gostaríamos de agradecer a Oren Yomtov pela colaboração nesta questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.